CN109547217B - 基于动态口令的一对多身份认证系统和方法 - Google Patents

Abstract

本发明提供了一种基于动态口令的一对多身份认证系统和方法。该系统包括：主体、多个客体和认证服务器；主体管理多个客体，当需要认证某个客体时，根据主体密钥和某个客体的客体唯一标识符使用动态口令生成算法生成某个客体对应的动态口令，将动态口令传输给某个客体；某个客体将自己的客体唯一标识符和主体传输过来的动态口令传输给认证服务器；认证服务器根据主体密钥和客体唯一标识符使用相同的动态口令生成算法生成客体对应的动态口令，当生成的动态口令和客体传输过来的动态口令一致时，则确认某个客体的身份认证成功。本发明解决了“一对多”口令认证场景下的安全性和易用性问题，提供了一种安全、易用的基于口令的身份认证方法。

Description

基于动态口令的一对多身份认证系统和方法

技术领域

本发明涉及信息安全技术领域，尤其涉及一种基于动态口令的一对多身份认证系统和方法。

背景技术

在网络系统的访问过程中，通常会使用口令作为使用者身份鉴别的凭证。基于口令的身份认证可以分为基于静态口令的身份认证和基于动态口令的身份认证两种类型。由于静态口令具有固定性和易猜解性，因此在较高安全需求的场景下，基于静态口令的认证方式不适用。为满足较高安全需求，人们提出并使用动态口令对系统使用者进行身份鉴别，确认系统使用者身份的合法性。动态口令具有不可预测性、使用方便等优点，可以有效满足单次访问系统时的身份认证安全要求。

但目前的动态口令认证系统针对的是一个主体拥有一个客体的认证场景，即“一对一”认证场景。典型的“一对多”场景包括机房管理中的主机管理、网络基础设施的管理等。使用现有动态口令认证系统在一个主体拥有多个客体，即“一对多”场景下进行认证时，如为一个主体分配一块令牌，则对不同客体进行认证使用口令是相同的，会导致安全性下降；否则，须为主体分配多块令牌，使每一个令牌对应一个客体。这种情况下，易用性大大降低，同时提高了使用成本。现有动态口令认证系统无法满足上述“一对多”认证场景。

发明内容

本发明目的是解决一个主体管理多个客体场景下基于口令的身份认证问题，以克服现有技术在安全性和易用性方面存在的不足。

为了实现上述目的，本发明提供了一种基于动态口令的一对多身份认证系统和方法，采用了如下技术方案。

一种基于动态口令的一对多身份认证系统，包括：主体、多个客体和认证服务器；

主体，用于管理多个客体，当需要认证某个客体时，根据主体密钥和所述某个客体的客体唯一标识符使用动态口令生成算法生成所述某个客体对应的动态口令，将所述动态口令传输给所述某个客体；

某个客体，用于将自己的客体唯一标识符和所述主体传输过来的动态口令传输给所述认证服务器；

认证服务器，用于根据主体密钥和客体唯一标识符使用相同的动态口令生成算法生成客体对应的动态口令，当生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功。

优选地，主体包括：口令生成器、令牌和安全存储模块；

安全存储模块，用于存储主体密钥和安全策略；

口令生成器，是主体所有的运行在智能设备上的应用程序，包括用于生成动态口令的令牌，令牌在获取客体唯一标识符后，使用安全存储模块中存储的主体密钥、客体唯一标识符和变动因子作为参数，通过动态口令生成算法生成所述某个客体对应的动态口令中间值，将所述动态口令中间值根据所述安全存储模块中存储的安全策略做映射，映射成满足安全要求的中口令长度和口令复杂度的所述某个客体对应的动态口令。

优选地，认证服务器包括：认证系统管理模块、动态口令生成模块和身份验证模块；

认证系统管理模块，用于管理认证过程中涉及的主体基本信息、客体基本信息、令牌相关信息和日志信息，生成用于标识客体的唯一标识符，管理主体身份标识和客体的唯一标识符之间的对应关系，为每个主体分配令牌，对主体中的口令生成器进行初始化，将主体管理的客体的唯一标识符在令牌初始化阶段传输到主体的口令生成器中；

动态口令生成模块，用于根据主体密钥和客体唯一标识符使用与主体相同的动态口令生成算法生成客体对应的动态口令；

身份验证模块，用于当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功，将身份认证成功结果发送给所述某个客体；当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令不一致时，则确认所述某个客体的身份认证失败，将身份认证失败结果发送给所述某个客体。

优选地，所述的认证系统管理模块包括：

主体管理子模块，用于对主体信息进行维护和管理，对主体信息的注册、更新、冻结、解冻和注销过程进行操作；

客体管理子模块，用于对客体信息进行维护和管理，为每个客体生成唯一标识符，远程登录客体，将客体与其唯一标识符进行绑定；

令牌管理子模块，用于管理认证过程中的主体身份标识和客体的唯一标识符之间的对应关系，为主体进行令牌分配、令牌冻结解冻和令牌解绑，进行主体的令牌初始化工作，将主体管理的客体的唯一标识符在令牌初始化阶段传输到主体的口令生成器中；

日志子模块，用于提供对认证服务器操作日志的查阅和审计功能。

一种基于动态口令的一对多身份认证方法，包括：

步骤1、一个主体管理多个客体，当需要认证某个客体时，主体根据主体密钥和所述某个客体的客体唯一标识符使用动态口令生成算法生成所述某个客体对应的动态口令；

步骤2、某个客体将自己的客体唯一标识符和所述主体生成的动态口令传输给认证服务器；

步骤3、所述认证服务器根据主体密钥和客体唯一标识符使用与主体相同的动态口令生成算法生成客体对应的动态口令，当生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功。

优选地，骤1具体包括：

在主体中存储主体密钥和安全策略，所述主体获取客体唯一标识符；

所述主体中包括口令生成器，所述口令生成器中包括令牌，通过令牌将主体密钥、客体唯一标识符和变动因子作为参数，使用动态口令生成算法生成所述某个客体对应的动态口令中间值，将所述动态口令中间值根据存储的安全策略做映射，映射成满足口令长度和口令复杂度安全要求的所述某个客体对应的动态口令。

优选地，步骤3具体包括：

所述认证服务器管理认证过程中涉及的主体基本信息、客体基本信息、令牌相关信息和日志信息，生成用于标识客体的唯一标识符，管理主体身份标识和客体的唯一标识符之间的对应关系，为每个主体分配令牌，对主体中的口令生成器进行初始化，所述主体管理的客体的唯一标识符在令牌初始化阶段被传输到主体的口令生成器中；

所述认证服务器根据主体密钥和客体唯一标识符使用与主体相同的动态口令生成算法生成客体对应的动态口令，当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功，将身份认证成功结果发送给所述某个客体；当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令不一致时，则确认所述某个客体的身份认证失败，将身份认证失败结果发送给所述某个客体。

优选地，所述动态口令生成算法包括使用国密标准的SM3算法。

优选地，所述步骤1之前还包括：

当所述主体启动口令生成器后，判断所述主体是否是首次登录所述口令生成器，如果是，则初始化所述口令生成器中的令牌，在所述令牌中输入所述主体的个人识别码PIN；否则，直接在所述令牌中输入所述主体的PIN；

判断所述令牌中输入的PIN是否正确，如果是，则选择需要进行身份认证的客体；否则，重新在所述令牌中输入新的PIN，直到在设定的输入次数上限内输入正确的PIN，再选择需要进行身份认证的客体。

优选地，所述步骤3还包括：

认证服务器在令牌中设置主体的PIN，主体准备向客体验证身份时，主体在客体要求输入身份鉴别信息的位置输入所述某个客体的动态口令和所述PIN；

客体将用户输入的动态口令和客体唯一标识符通过标准认证协议传输到认证服务器，所述认证服务器根据接收到的所述客体唯一标识符查询主客体对应关系，判断所述主体是否管理所述客体，如果是，则判断所述某个客体的身份认证成功，所述认证服务器将身份认证成功结果发送给所述某个客体并记录相关日志；否则，判断所述主体不管理所述客体，所述某个客体的身份认证失败，所述认证服务器将身份认证失败结果发送给所述某个客体并记录相关日志。

本发明提供的方法和系统在“一对多”认证场景下提供认证服务时，主体使用口令生成器生成对应登录客体的动态口令并提交，即可完成认证，解决了“一对多”认证场景下的安全性和易用性问题，提供了方便、安全和成本低廉的口令安全产品。

本发明附加的方面和优点将在下面的描述部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供了一种基于动态口令的“一对多”身份认证系统的结构图；

图2为本发明实施例提供的一种主体的结构图；

图3为本发明实施例提供的一种认证服务器的结构图；

图4为本发明实施例提供的一种“一对多”动态口令的生成方法的处理流程图；

图5为本发明实施例提供的一种认证服务器的工作原理示意图；

图6为本发明实施例提供的一种口令生成器产生动态口令的工作流程图；

图7为本发明实施例提供的一种认证服务器认证动态口令的流程图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

为便于对本发明实施例的理解，下面将结合附图以具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

本发明实施例提供了一种基于动态口令的“一对多”身份认证系统，该系统的结构如图1所示，包括主体、客体和认证服务器。客体和认证服务器通过有线或者无线通信链路进行连接和通信。一个主体(如：主机管理员，系统管理员等)可管理多个相同或不同类型的客体(如：服务器，路由器等)。

主体，用于管理多个客体，当需要认证某个客体时，根据主体密钥和某个客体的客体唯一标识符使用动态口令生成算法生成某个客体对应的动态口令并传输给某个客体；

某个客体，用于将自己的客体唯一标识符和主体传输过来的动态口令传输给认证服务器；

认证服务器，用于根据主体密钥和客体唯一标识符使用相同的动态口令生成算法生成客体对应的动态口令，当生成的动态口令和客体传输过来的动态口令一致时，则确认某个客体的身份认证成功。

上述系统可以应用在一个主体管理多个客体的机房主机、网络设备等场景下的基于口令的身份认证过程。

图2为本发明实施例提供的一种主体的结构示意图，主体包括：口令生成器、令牌和安全存储模块；

安全存储模块，用于存储主体密钥、和安全策略；该安全存储模块用于保护主体密钥、安全策略等敏感数据内容。口令生成器通过用户PIN(PersonalIdentificationNumber，个人识别码)派生出加密密钥，并采用这一密钥对安全存储模块进行加密保护。

令牌通过获取客体唯一标识符，并将主体密钥、客体唯一标识符和变动因子作为参数，使用安全存储模块中存储的动态口令生成算法生成某个客体对应的动态口令中间值，将动态口令中间值根据安全存储模块中存储的安全策略做映射，映射成满足口令长度和口令复杂度安全要求的某个客体对应的动态口令。

口令生成器包括令牌和安全存储模块。

认证服务器是整个系统的核心部分，与客体通过网络相连，提供身份凭证的认证服务。认证服务器支持标准认证协议，具有完善的自身数据安全保护功能。图3为本发明实施例提供的一种认证服务器的结构图，包括：认证系统管理模块、动态口令生成模块和身份验证模块。

认证系统管理模块具有友好的图形界面。认证系统管理模块包括以下子模块：

1)主体管理子模块

用于对主体信息进行维护和管理。通过图形化界面，对主体信息的注册、更新、冻结和解冻、注销等过程进行操作。

2)客体管理子模块

用于对客体信息进行维护和管理。该模块为每个客体生成唯一标识符，批量远程登录对应客体，将其与其唯一标识符进行绑定。

3)令牌管理子模块

用于管理认证过程中的主体身份标识和客体的唯一标识符之间的对应关系。为主体进行令牌分配、令牌冻结解冻和令牌解绑等功能。令牌管理模块同时负责主体的令牌初始化工作。主体管理的客体的唯一标识符在令牌初始化阶段通过网络或者非网络(如二维码、文件传输等)手段被传输到主体的口令生成器中。

4)日志子模块

提供对认证服务器操作日志的查阅和审计功能。

动态口令生成模块，用于根据主体密钥和客体唯一标识符使用相同的动态口令生成算法生成客体对应的动态口令；

身份验证模块，用于对客体进行身份认证。当动态口令生成模块生成的动态口令和客体传输过来的动态口令一致时，则确认某个客体的身份认证成功，将身份认证成功结果发送给某个客体；当动态口令生成模块生成的动态口令和客体传输过来的动态口令不一致时，则确认某个客体的身份认证失败，将身份认证失败结果发送给某个客体。

本发明实施例提供的基于动态口令的“一对多”身份认证系统的工作原理包括：为满足“一对多”场景下动态口令的安全性和易用性，在动态口令生成的过程中，加入客体唯一标识符作为口令生成因子的一部分，根据客体唯一标识符通过满足国密标准的SM3算法进行计算，通过截位和映射算法，生成指定长度、指定字符集的动态口令。

本发明所涉系统进行认证过程时，客体将其唯一标识符和主体上送的动态口令通过标准认证协议发送到认证服务器，认证服务器根据客体唯一标识符使用相同的运算因子和运算方法计算动态口令，将计算的动态口令同上传的动态口令进行比对，得到认证结果。

基于上述图1所示的系统，本发明实施例提供的一种基于动态口令的一对多身份认证方法的处理流程图如图4所示，包括如下的处理步骤：

步骤1：主体首次使用系统进行初始化时，认证服务器中的认证系统管理模块中的主体管理模块根据主体身份标识，生成主体对应的主体密钥。认证系统管理模块中的客体管理模块根据客体的某些特征生成的用于标识该客体的唯一标识符，该唯一标识符可以为字符串.主体还远程登录客体，将客体与其唯一标识符进行绑定。同时，认证系统管理模块管理主体身份标识和客体的唯一标识符之间的对应关系，并将该对应关系在口令生成器初始化阶段通过网络或者非网络(如二维码、文件传输等)手段下发到主体的口令生成器中。

步骤2：主体利用口令生成器选取相应的客体选项。口令生成器是主体所有的运行在智能设备上的应用程序(APP)上。口令生成器中用于生成动态口令的组件称为令牌。一个主体对应一个令牌。

主体内部的口令生成器中的令牌将主体密钥、客体唯一标识符和变动因子作为参数，使用动态口令生成算法生成客体对应的动态口令中间值；上述动态口令生成算法可以为使用国密标准的SM3算法。

步骤3：口令生成器中的令牌将上述动态口令中间值根据安全策略要求做映射，映射成满足安全要求的中口令长度和口令复杂度的客体对应的动态口令。该动态口令可以根据安全策略的不同，具有不同长度，包含不同类型的字符。

步骤4：本发明实施例中的认证系统主要由主体的口令生成器、服务器端的认证服务器组成。认证服务器的工作原理示意图如图5所示。

认证服务器是整个系统的核心部分，与客体通过网络相连，提供身份凭证的认证服务。认证服务器支持标准认证协议，具有完善的自身数据安全保护功能。认证服务器包括：认证系统管理模块、动态口令生成模块和身份验证模块。认证系统管理服务器在使用前首先维护主体信息、客体信息以及主客体的对应关系。为每个主体分配令牌，并对主体所拥有的口令生成器中的令牌进行初始化。

主体在需要认证时，只需输入用户PIN打开口令生成器，选择某一客体，即可在口令生成器中显示出该客体对应的动态口令。主体在客体要求输入身份鉴别信息的位置输入该动态口令，即可完成登录。

本发明实施例提供的一种口令生成器产生动态口令的工作流程图如图6所示，具体工作流程如下：

主体准备向某一客体验证身份；

当用户启动主体的口令生成器后，判断用户是否是首次登录口令生成器，如果是，则初始化口令生成器中的令牌。主体通过上述的认证服务器中的认证系统管理模块，进行主体信息维护，并录入该主体管理的客体。认证系统管理模块生成客体唯一标识符，与对应客体绑定并通过网络或非网络的方式将其传输到主体的口令生成器中。同时在令牌中设置主体的PIN，主体登录口令生成器时须输入该PIN码；否则，直接在令牌中输入主体的PIN。上述主体的PIN可以作为主体身份标识。

判断令牌中输入的PIN是否正确，如果是，则主体选择需要进行身份认证的客体的操作；否则，重新在令牌中输入新的PIN，直到在设定的输入次数上限内输入正确的PIN，再主体选择需要进行身份认证的客体的操作。

PIN验证通过后，选择为上述某一客体生成身份认证凭据。主体获取客体标识符，口令生成器根据客体唯一标识符通过密钥和变动因子生成对客体认证的动态口令，该动态口令即为客体的身份认证凭据。然后，在口令生成器中显示动态口令。

主体在客体要求输入身份鉴别信息的位置输入该动态口令和上述PIN(可选)。

本发明实施例提供的一种认证服务器认证动态口令的流程图如图7所示，具体工作流程如下：

主体准备向某一客体验证身份；

客体将用户输入的动态口令、PIN(可选)和客体唯一标识符通过标准认证协议传输到认证服务器，认证服务器根据接收到的客体唯一标识符查询主客体对应关系，判断主体是否管理客体，如果是，则判断某个客体的身份认证成功；否则，判断主体不管理客体，某个客体的身份认证失败，认证服务器将身份认证失败结果发送给某个客体并记录相关日志。

当根据查询结果判断主体管理上述客体后，认证服务器通过与主体相同的算法和运算因子，根据客体唯一标识符进行口令计算。将计算出的动态口令与客体上传的动态口令进行比对，当比对结果为一致时，则确认某个客体的身份认证成功，将身份认证成功结果发送给某个客体并记录相关日志；当比对结果为不一致时，则确认某个客体的身份认证失败，将身份认证失败结果发送给某个客体并记录相关日志。

认证服务器端将认证结果返回给客体，客体根据认证结果决定主体下一步动作。至此，完成一次认证过程。

综上所述，本发明实施例方法和系统在“一对多”认证场景下提供认证服务时，主体使用口令生成器生成对应登录客体的动态口令并提交，即可完成认证，解决了“一对多”认证场景下的安全性和易用性问题。

本发明实施例通过特定的系统和算法设计实现了“一对多”的强口令生成方法，避免了传统应用中系统管理员使用弱口令的问题，提高了应用系统的安全性；其次，通过引入口令生成器为系统管理员提供了方便易用、成本低廉的”一对多“口令管理工具，避免了传统口令管理难记忆的问题，提供了一种安全、易用的身份认证方法；最后，通过整体认证系统解决了“一对多”口令管理场景缺乏有效管理方式的问题，提供了高安全、高可用的系统解决方案。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (6)

1.一种基于动态口令的一对多身份认证系统，其特征在于，包括：主体、多个客体和认证服务器；

主体，用于管理多个客体，当需要认证某个客体时，根据主体密钥和所述某个客体的客体唯一标识符使用动态口令生成算法生成所述某个客体对应的动态口令，将所述动态口令传输给所述某个客体；

某个客体，用于将自己的客体唯一标识符和所述主体传输过来的动态口令传输给所述认证服务器；

认证服务器，用于根据主体密钥和客体唯一标识符使用相同的动态口令生成算法生成客体对应的动态口令，当生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功；

所述主体包括：口令生成器、令牌和安全存储模块；

安全存储模块，用于存储主体密钥和安全策略；

口令生成器，是主体所有的运行在智能设备上的应用程序，包括用于生成动态口令的令牌，令牌在获取客体唯一标识符后，使用安全存储模块中存储的主体密钥、客体唯一标识符和变动因子作为参数，通过动态口令生成算法生成所述某个客体对应的动态口令中间值，将所述动态口令中间值根据所述安全存储模块中存储的安全策略做映射，映射成满足安全要求的中口令长度和口令复杂度的所述某个客体对应的动态口令；

所述认证服务器包括：认证系统管理模块、动态口令生成模块和身份验证模块；

认证系统管理模块，用于管理认证过程中涉及的主体基本信息、客体基本信息、令牌相关信息和日志信息，生成用于标识客体的唯一标识符，管理主体身份标识和客体的唯一标识符之间的对应关系，为每个主体分配令牌，对主体中的口令生成器进行初始化，将主体管理的客体的唯一标识符在令牌初始化阶段传输到主体的口令生成器中；

动态口令生成模块，用于根据主体密钥和客体唯一标识符使用与主体相同的动态口令生成算法生成客体对应的动态口令；

身份验证模块，用于当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功，将身份认证成功结果发送给所述某个客体；当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令不一致时，则确认所述某个客体的身份认证失败，将身份认证失败结果发送给所述某个客体。

2.根据权利要求1所述的系统，其特征在于，所述的认证系统管理模块包括：

主体管理子模块，用于对主体信息进行维护和管理，对主体信息的注册、更新、冻结、解冻和注销过程进行操作；

客体管理子模块，用于对客体信息进行维护和管理，为每个客体生成唯一标识符，远程登录客体，将客体与其唯一标识符进行绑定；

令牌管理子模块，用于管理认证过程中的主体身份标识和客体的唯一标识符之间的对应关系，为主体进行令牌分配、令牌冻结解冻和令牌解绑，进行主体的令牌初始化工作，将主体管理的客体的唯一标识符在令牌初始化阶段传输到主体的口令生成器中；

日志子模块，用于提供对认证服务器操作日志的查阅和审计功能。

3.一种基于动态口令的一对多身份认证方法，其特征在于，包括：

步骤1、一个主体管理多个客体，当需要认证某个客体时，主体根据主体密钥和所述某个客体的客体唯一标识符使用动态口令生成算法生成所述某个客体对应的动态口令；

步骤2、某个客体将自己的客体唯一标识符和所述主体生成的动态口令传输给认证服务器；

步骤3、所述认证服务器根据主体密钥和客体唯一标识符使用与主体相同的动态口令生成算法生成客体对应的动态口令，当生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功；

在主体中存储主体密钥和安全策略，所述主体获取客体唯一标识符；

所述主体中包括口令生成器，所述口令生成器中包括令牌，通过令牌将主体密钥、客体唯一标识符和变动因子作为参数，使用动态口令生成算法生成所述某个客体对应的动态口令中间值，将所述动态口令中间值根据存储的安全策略做映射，映射成满足口令长度和口令复杂度安全要求的所述某个客体对应的动态口令；

所述认证服务器管理认证过程中涉及的主体基本信息、客体基本信息、令牌相关信息和日志信息，生成用于标识客体的唯一标识符，管理主体身份标识和客体的唯一标识符之间的对应关系，为每个主体分配令牌，对主体中的口令生成器进行初始化，所述主体管理的客体的唯一标识符在令牌初始化阶段被传输到主体的口令生成器中；

所述认证服务器根据主体密钥和客体唯一标识符使用与主体相同的动态口令生成算法生成客体对应的动态口令，当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令一致时，则确认所述某个客体的身份认证成功，将身份认证成功结果发送给所述某个客体；当所述动态口令生成模块生成的动态口令和所述客体传输过来的动态口令不一致时，则确认所述某个客体的身份认证失败，将身份认证失败结果发送给所述某个客体。

4.根据权利要求3所述的方法，其特征在于，所述动态口令生成算法包括使用国密标准的SM3算法。

5.根据权利要求3至4任一项所述的方法，其特征在于，所述步骤1之前还包括：

当所述主体启动口令生成器后，判断所述主体是否是首次登录所述口令生成器，如果是，则初始化所述口令生成器中的令牌，在所述令牌中输入所述主体的个人识别码PIN；否则，直接在所述令牌中输入所述主体的PIN；

判断所述令牌中输入的PIN是否正确，如果是，则选择需要进行身份认证的客体；否则，重新在所述令牌中输入新的PIN，直到在设定的输入次数上限内输入正确的PIN，再选择需要进行身份认证的客体。

6.根据权利要求5所述的方法，其特征在于，所述步骤3还包括：

认证服务器在令牌中设置主体的PIN，主体准备向客体验证身份时，主体在客体要求输入身份鉴别信息的位置输入所述某个客体的动态口令和所述PIN；

客体将用户输入的动态口令和客体唯一标识符通过标准认证协议传输到认证服务器，所述认证服务器根据接收到的所述客体唯一标识符查询主客体对应关系，判断所述主体是否管理所述客体，如果是，则判断所述某个客体的身份认证成功，所述认证服务器将身份认证成功结果发送给所述某个客体并记录相关日志；否则，判断所述主体不管理所述客体，所述某个客体的身份认证失败，所述认证服务器将身份认证失败结果发送给所述某个客体并记录相关日志。

Images